composer show 默认只显示已安装包的当前版本号，不显示 composer.json 中定义的版本约束范围；需用 show -s 或解析 composer.lock 查看原始约束。
composer show 不显示版本范围，得用 show -s 或直接查 composer.lock
composer show 默认只列出已安装包的当前版本号，比如 v2.4.1，但不会告诉你 composer.json 里写的是 "monolog/monolog": "^2.3" 还是 "~2.4.0"。想确认约束范围，有两个可靠路径：
- 运行
composer show -s（-s即--strict），它会强制从composer.json读取原始 require 行，输出类似monolog/monolog 2.4.1 Requires: ^2.3 - 直接打开项目根目录下的
composer.lock，搜索目标包名，在对应项的version字段上方看source或dist块没用，重点找require下该包的键值——但更稳的方式是：用jq '.packages[] | select(.name == "monolog/monolog") | .version, .require."monolog/monolog"'（需装 jq）
注意：composer show -s 依赖 composer.json 的 require 定义，如果包是通过 require-dev 引入或被其他包间接依赖，它可能不出现，此时必须查 composer.lock。
show --latest 只比对稳定版，忽略 dev 分支和 alpha/beta
composer show --latest 的逻辑是：对每个已安装包，向 Packagist 查询「当前稳定通道（stable）下最新满足其版本约束的版本」，然后和本地已安装版本对比。它不会考虑 @dev、@alpha、@rc 等非稳定标记。
- 如果你的
composer.json写的是"laravel/framework": "dev-main"，show --latest会跳过它，或显示Could not determine latest version - 即使你本地装了
v10.45.0，而 Packagist 上已有v10.46.0-beta，只要约束是^10.0，--latest仍只报v10.45.0为最新——因为它默认过滤掉非 stable 版本 - 想包含预发布版，得加
--all：即composer show --latest --all，这时才会把beta/rc纳入比较
这个行为常导致误判“没更新”，其实只是最新版还没标 stable。
版本范围冲突时，show --latest 可能给出误导性提示
当多个包对同一依赖提出不同约束（比如 A 要 ^3.0，B 要 ^2.8），Composer 会取交集（如 ^3.0 ∩ ^2.8 = ^3.0），最终安装一个满足所有约束的版本。但 show --latest 仅按单个包的原始约束去查最新版，不考虑实际交集结果。
- 假设
symfony/console在你的composer.json中写的是"^5.4"，但因其他依赖压制，实际装的是v5.4.37 -
show --latest会查到v5.4.40并提示「可升级」，但执行update时可能失败——因为某依赖锁死了symfony/polyfill-php81的旧版，而v5.4.40需要新版 polyfill - 真正可靠的判断方式是：先
composer update --dry-run symfony/console，看是否报 conflict；或者用composer prohibits symfony/console:5.4.40查谁在阻止
别只信 --latest 的箭头提示，它只回答「理论上最新」，不回答「实际上能不能升」。
想批量检查所有包的约束与现状？写一行 shell 就够
手动一个个 show -s 太慢，可以用 shell 快速生成带约束、当前版、最新稳定版的对照表：
composer show -s | awk 'NR%2==1 {pkg=$1; ver=$2} NR%2==0 {range=$NF; print pkg " " ver " " range}' | while read pkg cur range; do latest=$(composer show "$pkg" --latest 2>/dev/null | grep "latest" | awk '{print $NF}'); echo "$pkg@$range → $cur → $latest"; done | column -t -s' '
这段命令做了三件事：提取包名+当前版+约束范围 → 对每个包调 show --latest 拿最新稳定版 → 格式化对齐输出。注意它会跳过无法查 latest 的包（如 private repo 或网络异常），且不处理 dev 分支。
真正复杂的项目，版本约束嵌套深、私有源多、稳定性标记混用——这时候别靠 show 命令拍脑袋，composer why-not 和 composer depends 才是定位卡点的关键。
